CVE-2026-40193 in maddy
Zusammenfassung
von VulDB • 27.05.2026
maddy ist ein composabler, All-in-One-Mailserver. Versionen vor 0.9.3 enthalten eine LDAP-Injektionsschwachstelle im Modul auth.ldap, bei der benutzergestellte Benutzernamen über strings.ReplaceAll() in LDAP-Suchfilter und DN-Zeichenfolgen interpoliert werden, ohne dass eine LDAP-Filter-Escapierung erfolgt, obwohl die Funktion ldap.EscapeFilter() der Bibliothek go-ldap/ldap/v3 im selben Import verfügbar ist. Dies betrifft drei Codepfade: den Lookup()-Filter, die AuthPlain()-DN-Vorlage und den AuthPlain()-Filter. Ein Angreifer mit Netzwerkzugriff auf die SMTP-Übermittlung oder die IMAP-Schnittstelle kann beliebige LDAP-Filterausdrücke über das Benutzernamenfeld in AUTH PLAIN- oder LOGIN-Befehlen injizieren. Dies ermöglicht Identitäts spoofing durch Manipulieren der Filterergebnisse, um sich als ein anderer Benutzer zu authentifizieren, LDAP-Verzeichnis-Enumeration über Wildcard-Filter sowie blinde Extraktion von LDAP-Attributwerten unter Verwendung von Authentifizierungsantworten als boolesche Oracle oder über Timing-Seitenkanäle zwischen den beiden unterschiedlichen Fehlerpfaden. Dieses Problem wurde in Version 0.9.3 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.